微软patch tuesday修复三则重要漏洞-尊龙凯时官方旗舰店

微软在patch tuesday中修复了53个安全漏洞，涉及的产品包括windows操作系统、office、internet explorer、microsoft edge、asp.net core、.net core以及chackra core浏览器引擎。这其中包括三枚重要的漏洞，windows eot字体引擎信息泄露漏洞(cve-2017-11832)、windows内核信息泄露漏洞(cve-2017-11853)，microsoft excel安全功能绕过漏洞(cve-2017-11877)。

windows eot字体引擎信息泄露漏洞

漏洞编号

cve-2017-11832

漏洞等级

重要

影响范围

windows 7

windows server 2008

windows server 2008 r2

windows server 2012

漏洞细节

windows 嵌入式opentype(eot)字体引擎在解析嵌入字体时存在漏洞。攻击者能够利用这个漏洞读取敏感数据。此漏洞不能让攻击者直接执行代码或者提升权限，但可以获取信息以进一步攻击系统。

要利用漏洞，攻击者需要登录到系统，并打开构造的字体。

安全更新修复了windows eot字体引擎处理嵌入字体的问题。

windows内核信息泄露漏洞

漏洞编号

cve-2017-11853

漏洞等级

重要

影响范围

windows 10

windows 7

windows 8.1

windows rt 8.1

windows server 2008

windows server 2008 r2

windows server 2012

windows server 2012 r2

windows server 2016

漏洞细节

windows内核未能合理初始化内存地址导致信息泄露漏洞。攻击者利用成功后可以获取信息，用来进一步攻击用户系统。

要利用漏洞，攻击者需要登录系统，运行构造的软件。

安全更新修复了windows内核初始化内存的问题。

microsoft excel安全功能绕过漏洞

漏洞编号

cve-2017-11877

漏洞等级

重要

影响范围

microsoft excel 2007 service pack 3

microsoft excel 2010 service pack 2

microsoft excel 2013 rt service pack 1

microsoft excel 2013 service pack 1

microsoft excel 2016

microsoft excel 2016 for mac

microsoft excel viewer 2007 service pack 3

microsoft office compatibility pack service pack 3

漏洞细节

office软件中存在安全功能绕过漏洞，能够绕过强制的宏设置。要利用漏洞，攻击者必须在excel表中制定要运行的宏。攻击者需要让用户用受影响的office软件打开特制的文件。安全更新通过强制宏设置修复了漏洞。